Лабораторная работа №3

Цель работы

Цель работы:

• Изучение кадров Ethernet

• Анализ PDU протоколов:

  • транспортного уровня
  • прикладного уровня

• Исследование работы стека TCP/IP с помощью Wireshark

MAC-адресация (ipconfig)

• Использована команда ipconfig

• Получены параметры сетевого интерфейса:

  • IPv4-адрес
  • Маска подсети
  • Шлюз по умолчанию

• Определено активное беспроводное соединение

Команда ipconfig

MAC-адрес устройства (ipconfig /all)

• Использована команда ipconfig /all

• Определён MAC-адрес сетевого адаптера:

  • DC-46-28-6C-92-D3

• MAC-адрес состоит из 6 октетов:

  • первые 3 — производитель
  • последние 3 — интерфейс

Команда ipconfig /all

Анализ MAC-адреса

• Производитель по первым 3 октетам: Intel Corporate

• Первый байт: DC = 11011100₂

  • I/G bit = 0 → индивидуальный адрес
  • L/G bit = 0 → глобально администрируемый адрес

Запуск захвата в Wireshark

• Выбран беспроводной интерфейс
• Запущен захват трафика

Запуск захвата трафика

ICMP: пинг шлюза

• Шлюз по умолчанию: 172.16.36.1

• Выполнена команда:

  ping 172.16.36.1

• Захвачены ICMP Echo Request и Echo Reply

Пинг шлюза по умолчанию

ICMP Echo Request

• Фильтр: icmp

• Проанализирован Echo Request:

  • Длина кадра: 74 байта
  • MAC источника: устройство
  • MAC назначения: шлюз

• Оба MAC-адреса:

  • индивидуальные
  • глобально администрируемые

Кадр ICMP - эхо-запрос: информация о длине кадра, типе Ethernet и MAC-адресах

ICMP Echo Reply

• Echo Reply от шлюза к клиенту
• MAC-адреса источника и назначения поменялись местами
• Длина кадра также 74 байта

Кадр ICMP - эхо-ответ: информация о длине кадра, типе Ethernet, MAC-адресах

Протокол ARP

• ARP передаётся в кадре Ethernet II

• Общая длина кадра: 60 байт

• Основные поля:

  • Hardware type: Ethernet (1)
  • Protocol type: IPv4
  • Opcode: 1 (ARP Request)

• Адрес назначения: ff:ff:ff:ff:ff:ff

Кадр ARP: информация о длине кадра, типе Ethernet, MAC-адресах

ICMP: ping rudn.ru

• Выполнена команда:

  ping rudn.ru

• Результат:

  • 4 запроса
  • 0 ответов
  • Потери: 100%

• ICMP-ответы отсутствуют

Пинг сайта rudn.ru

ICMP без ответа

• Захвачены только Echo Request

• Echo Reply отсутствуют

• Возможные причины:

  • блокировка ICMP
  • межсетевой экран
  • политики безопасности

HTTP поверх TCP

• Открыт сайт: http://info.cern.ch

• Фильтр: http

• Анализ TCP:

  • порт источника: динамический (64048)
  • порт назначения: 80

• Используются Sequence и Acknowledgment Number

Кадр http - запрос

HTTP Response

• В ответе:

  • порт источника: 80
  • порт назначения: 64048

• Порты меняются местами

Кадр http - ответ

DNS (UDP)

• Фильтр: dns

• DNS-запрос:

  • порт источника: динамический
  • порт назначения: 53

• DNS-ответ:

  • источник: 53
  • назначение: 64317

Кадр dns - запрос

Протокол QUIC

• Фильтр: quic

• Использован браузер Google Chrome

• QUIC работает поверх UDP

• Порты:

  • источник: 49768
  • назначение: 443

• Встроенное шифрование TLS 1.3

Кадр quic - запрос

TCP Handshake (общее)

• TCP использует трёхступенчатое рукопожатие

• Этапы:

  1. SYN
  2. SYN + ACK
  3. ACK

Handshake: SYN

• Клиент → сервер
• Флаг: SYN
• Relative Sequence Number = 0
• Инициация соединения

Первая ступень handshake TCP

Handshake: SYN + ACK

• Сервер → клиент
• Флаги: SYN, ACK
• Ack = 1 подтверждает SYN клиента

Вторая ступень handshake TCP

Handshake: ACK

• Клиент → сервер
• Флаг: ACK
• Sequence Number = 6231
• Acknowledgment Number = 3590
• Соединение установлено

Третья ступень handshake TCP

Flow Graph (TCP)

• Использован инструмент Statistics → Flow Graph

• Наглядно показаны:

  • SYN
  • SYN, ACK
  • ACK

• Подтверждение завершения TCP-handshake

График потока

Завершение захвата

• Захват трафика остановлен
• Анализ завершён

Выводы

В ходе работы:

• Изучены кадры Ethernet

• Проанализированы протоколы:

  • ARP, ICMP
  • TCP, UDP
  • HTTP, DNS, QUIC

• Исследован TCP three-way handshake

• Получены практические навыки работы с Wireshark